收集 Cloud Identity Devices 日志

支持的平台：

Google SecOps SIEM

注意： 此功能受《Google 安全运营服务专用条款》的正式发布前产品条款的约束。我们对正式发布前功能的支持可能有限，并且对正式发布前功能的更改可能与其他正式发布前版本不兼容。如需了解详情，请参阅 Google 安全运营技术支持服务准则和 Google 安全运营服务专用条款。

本指南将介绍如何使用 Cloud Storage 将 Cloud Identity Devices 日志导出到 Google 安全运营中心。解析器会从 JSON 日志中提取字段，转换 deviceType 和日期等特定字段，并将其映射到 UDM，从而创建表示设备的 asset_entity，并使用硬件和元数据信息对其进行丰富。

准备工作

• 确保您的 Google Cloud 项目中已启用 Google Cloud Identity。
• 确保您拥有 Google SecOps 实例。
• 确保您对 Google Cloud Identity 和 Cloud Logging 拥有特权访问权限。

创建 Cloud Storage 存储桶

1. 登录 Google Cloud 控制台。

2. 前往 Cloud Storage 存储分区页面。

   进入“存储桶”

3. 点击创建。

4. 在创建存储桶页面上，输入您的存储桶信息。完成以下各步骤后，点击继续以进入下一步：

   1. 在开始使用部分中，执行以下操作：

      1. 输入符合存储分区名称要求的唯一名称；例如 gcp-cloudidentity-devices-logs。

      2. 如需启用分层命名空间，请点击展开箭头以展开优化文件导向型和数据密集型工作负载部分，然后选择在此存储分区上启用分层命名空间。

         注意： 您无法在现有存储分区上启用分层命名空间。

      3. 如需添加存储分区标签，请点击展开箭头以展开标签部分。

      4. 点击添加标签，然后为标签指定键和值。

   2. 在选择数据存储位置部分中，执行以下操作：

      1. 选择位置类型。

      2. 使用位置类型菜单选择一个位置，用于永久存储存储分区中的对象数据。

         注意 ：如果您选择双区域位置类型，还可以使用相关复选框选择启用增强型复制。

      3. 如需设置跨存储分区复制，请展开设置跨存储分区复制部分。

   3. 在为数据选择一个存储类别部分中，为存储分区选择默认存储类别，或者选择 Autoclass 对存储分区数据进行自动存储类别管理。

   4. 在选择如何控制对对象的访问权限部分中，选择否以强制执行禁止公开访问，然后为存储分区对象选择访问权限控制模型。

      注意： 如果项目的组织政策已强制执行禁止公开访问，则禁止公开访问复选框处于锁定状态。

   5. 在选择如何保护对象数据部分中，执行以下操作：

      1. 在数据保护下，选择您要为存储分区设置的任何选项。
      2. 如需选择对象数据的加密方式，请点击标有数据加密的展开箭头，然后选择数据加密方法。

5. 点击创建。

注意： 请务必向您的 Google SecOps 服务账号授予对新创建的存储分区执行读取或读取和写入操作的权限。

配置 Cloud Identity 设备日志导出

1. 登录 Google Cloud 控制台。
2. 依次前往日志记录 > 日志路由器。
3. 点击创建接收器。

4. 提供以下配置参数：

   • 接收器名称：输入一个有意义的名称，例如 cloud-identity-devices-logs-sink。
   • 接收器目标位置：选择 Cloud Storage 存储，然后输入存储分区的 URI；例如 gs://gcp-cloudidentity-devices-logs。

   • 日志过滤器：

     logName="projects/<your-project-id>/logs/cloudaudit.googleapis.com%2Factivity"
     resource.type="cloud_identity_device"
     

   • 设置导出选项：包含所有日志条目。

5. 点击创建。

配置 Cloud Storage 权限

1. 依次前往 IAM 和管理 > IAM。
2. 找到 Cloud Logging 服务账号。
3. 向存储分区授予 roles/storage.admin。

在 Google SecOps 中配置 Feed 以提取 Cloud Identity Devices 日志

1. 依次前往 SIEM 设置 > Feed。
2. 点击新增。
3. 在Feed 名称字段中，输入 Feed 的名称；例如，GCP Cloud Identity Devices Logs。
4. 选择 Google Cloud Storage 作为来源类型。
5. 选择 GCP Cloud Identity Devices 作为日志类型。
6. 点击 Chronicle 服务账号字段旁边的获取服务账号。
7. 点击下一步。

8. 为以下输入参数指定值：

   • 存储分区 URI：Cloud Storage 存储分区网址；例如 gs://gcp-cloudidentity-devices-logs。
   • URI 类型：选择包含子目录的目录。

   • 来源删除选项：根据您的偏好选择删除选项。

     注意 ：如果您选择 Delete transferred files 或 Delete transferred files and empty directories 选项，请确保您已向服务账号授予适当的权限。

   • 资源命名空间：资源命名空间。

   • 提取标签：应用于此 Feed 中的事件的标签。

9. 点击下一步。

10. 在最终确定界面中查看新的 Feed 配置，然后点击提交。

UDM 映射表

日志字段	UDM 映射	逻辑
createTime	entity.metadata.creation_timestamp	createTime 的值会被解析为时间戳并进行映射。
deviceId	entity.entity.asset.asset_id	直接映射。
deviceType	entity.entity.asset.platform_software.platform	如果原始值为 MAC_OS 或 IOS，则映射到 MAC。如果原始值匹配，则映射到 WINDOWS、MAC 或 LINUX。否则，请将其设置为 UNKNOWN_PLATFORM。
encryptionState	entity.entity.asset.attribute.labels.key	值设置为 encryptionState。用于标签的一部分。
encryptionState	entity.entity.asset.attribute.labels.value	直接映射。用于标签的一部分。
lastSyncTime	entity.entity.asset.system_last_update_time	lastSyncTime 的值会被解析为时间戳并进行映射。
managementState	entity.entity.asset.attribute.labels.key	值设置为 managementState。用于标签的一部分。
managementState	entity.entity.asset.attribute.labels.value	直接映射。用于标签的一部分。
model	entity.entity.asset.hardware.model	直接映射。
name	entity.entity.asset.product_object_id	系统会提取 devices/ 后面的部分并进行映射。
name	entity.entity.resource.name	直接映射。
osVersion	entity.entity.asset.platform_software.platform_version	直接映射。
securityPatchTime	entity.entity.asset.attribute.labels.key	值设置为 securityPatchTime。用于标签的一部分。
securityPatchTime	entity.entity.asset.attribute.labels.value	直接映射。用于标签的一部分。
serialNumber	entity.entity.asset.hardware.serial_number	直接映射。从原始日志中的顶级 create_time 字段复制。值设置为 ASSET。值设置为 GCP Cloud Identity Devices。值设置为 Google Cloud Platform。从原始日志中的顶级 create_time 字段复制。

变化

2022-03-27

• 将 resource.name 映射到长唯一资源名称 name。

2022-04-13

• 新创建的解析器。

需要更多帮助？向社区成员和 Google SecOps 专业人士寻求解答。